ИБ-эксперт раскрыл информацию о двух уязвимостях в Tor

[Artifact]

Эксперт также намерен раскрыть информацию еще как минимум о трех уязвимостях нулевого дня в Tor.

Исследователь безопасности Нил Кравец (Neal Krawetz) опубликовал технические подробности двух уязвимостей в браузере Tor. Эксперт также намерен раскрыть информацию якобы еще как минимум о трех уязвимостях нулевого дня в Tor. Одна из проблем, по его словам, может показать реальный IP-адрес серверов Tor.
Первая https://www.hackerfactor.com/blog/in...nnections.htmlсвязана с тем, что компании и интернет-провайдеры могут блокировать подключение пользователей к сети Tor путем сканирования сетевых подключений на предмет «отличительной подписи пакета», уникальной для трафика Tor. Пакет может быть использован для блокировки инициирования Tor-подключений и фактически полностью запретить использование Tor.
Вторая https://www.hackerfactor.com/blog/in...g-Bridges.html, как и первая, позволяет сетевым операторам обнаруживать трафик Tor. Однако, вторая может использоваться для обнаружения непрямых подключений. Подобные соединения пользователи устанавливают с мостами Tor, когда компании и интернет-провайдеры блокируют прямой доступ к сети Tor. По словам Кравеца, соединения с мостами Tor можно легко обнаружить, используя аналогичную технику отслеживания определенных TCP-пакетов.
Причина, по которой Кравец публикует информацию о проблемах в Tor, заключается в том, что Tor Project якобы недостаточно серьезно относится к безопасности своих сетей, инструментов и пользователей. Исследователь безопасности https://twitter.com/hackerfactor/sta...ore-to-come%2Fна предыдущие инциденты, когда он пытался сообщить об уязвимостях Tor, но ему только обещали их исправить и так никогда не выпускали исправления.
Представители проекта Tor ответили на сообщения в блоге исследователя. По словам Tor Project, им известно о данных проблемах, однако они различаются по уровню угроз, которые они представляют для пользователей, и их якобы нельзя проэксплуатировать в масштабе.